Китайский антивирус Baidu и другие нежелательные программы [not-a-virus:AdWare.Win32.Amonetize.cinf, not-a-virus:AdWare.Win32.Lola.ia]

Printable View

26.02.2016, 23:59
Сергей Пономаренко

Вложений: 3

Китайский антивирус Baidu и другие нежелательные программы [not-a-virus:AdWare.Win32.Amonetize.cinf, not-a-virus:AdWare.Win32.Lola.ia]

Здравствуйте! После случайного открытия небольшого экзешника маскирующегося под торрент файл, на компьютере в большом кол-ве начали появляться нежелательные программы, такие как китайский антивирус baidu, wajam, advanced pc care, амиго браузер и другие.

Пробовал лечить с помощью CureIt, ADWCleaner и Malwarebytes, в том числе из-под безопасного режима, но каждый раз после перезагрузки нежелательные программы потихоньку вновь начинают появляться.

Проделал все манипуляции, которые необходимы перед написанием в эту ветку. Файлы с отчетами AVZ и Hijack в приложении. После прогона 3-м скриптом AVZ вроде все поутихло, но нет уверенности, что проблема не появится вновь. Проверьте отчеты, пожалуйста.
27.02.2016, 00:00
Info_bot

Уважаемый(ая) [B]Сергей Пономаренко[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.02.2016, 17:39
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\tinkk\AppData\Roaming\FreeVPN\FreeVPN.exe','');
QuarantineFile('C:\Users\tinkk\AppData\Roaming\567377707A_1036\8BwwQMBDhy.exe','');
DeleteService('tsnethlp');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TsNetHlp.sys','32');
DeleteFile('C:\Program Files\MTV20160128\MTView.exe','32');
DeleteFile('C:\Users\tinkk\AppData\Roaming\567377707A_1036\8BwwQMBDhy.exe','32');
DeleteFile('C:\Windows\system32\Tasks\567377707A_1036','32');
DeleteFile('C:\Users\tinkk\AppData\Roaming\FreeVPN\FreeVPN.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\SystemRestore\FreeVPN','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
28.02.2016, 13:23
Сергей Пономаренко

Вложений: 4

Скрипты выполнил. Карантин и новые логи в приложении.
28.02.2016, 18:18
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
04.03.2016, 23:06
Сергей Пономаренко

Вложений: 2

Здравствуйте!

Шаги выполнил. Логи в приложении.
06.03.2016, 12:56
thyrex

[QUOTE]C:\Users\tinkk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\War Thunder\War Thunder.lnk
C:\Users\Public\Desktop\War Thunder.lnk[/QUOTE]перетащите в окно программы ClearLNK

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
HKLM\...\Run: [NPSStartup] => [X]
HKLM\...\Run: [] => [X]
HKLM\...\Run: [mbot_ru_014010251] => C:\Program Files\mbot_ru_014010251\mbot_ru_014010251.exe [3972784 2016-02-27] ()
HKLM\...\RunOnce: [upmbot_ru_014010251.exe] => C:\Users\tinkk\AppData\Local\mbot_ru_014010251\upmbot_ru_014010251.exe [3242672 2016-02-27] ()
HKU\S-1-5-21-1929852468-2729547370-3823728573-1000\...\Run: [AdobeBridge] => [X]
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} => No File
SearchScopes: HKU\S-1-5-21-1929852468-2729547370-3823728573-1000 -> {C3BBCD0B-9234-4d36-9151-EC49EE32FCE3} URL = hxxp://www.baidu.com/s?wd={searchTerms}&tn=28026190_dg&ie=utf-8
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://api.youqian.baidu.com/v1/nav?soft=12&uid=50123650&guid=40c0ea70ad259ed35348f7a29fe6c454&vd=3684229971
Toolbar: HKLM - No Name - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - No File
FF NewTab: hxxp://www.mysites123.com/newtab/?type=nt&ts=1456651196&z=6de287bd4d466dee24cc28fg4z3wbqaqew1g4g4tdq&from=amt&uid=wdcxwd6402aaex-00y9a0_wd-wcaw3022548625486
CHR Plugin: (Widevine Content Decryption Module) - C:\Users\tinkk\AppData\Local\Google\Chrome\User Data\WidevineCDM\1.4.1.377\_platform_specific\win_x86\widevinecdmadapter.dll => No File
CHR Plugin: (Native Client) - C:\Users\tinkk\AppData\Local\Google\Chrome\Application\48.0.2564.116\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Users\tinkk\AppData\Local\Google\Chrome\Application\48.0.2564.116\pdf.dll => No File
CHR Plugin: (iCloud Control Panel) - C:\Users\tinkk\AppData\Local\Google\Chrome\User Data\Default\Extensions\fkepacicchenbjecpbpbclokcabebhah\1.2.12_0\win-x32/AppleChromeDAV.dll => No File
CHR Plugin: (Удаленный рабочий стол Chrome) - C:\Users\tinkk\AppData\Local\Google\Chrome\User Data\Default\Extensions\gbchcmhmhahfdphkhkmpfmihenigjmpp\32.0.1700.98_0\remoting_host_plugin.dll => No File
CHR Plugin: (QuickTime Plug-in 7.7) - C:\Program Files\QuickTime\plugins\npqtplugin6.dll => No File
CHR Plugin: (QuickTime Plug-in 7.7) - C:\Program Files\QuickTime\plugins\npqtplugin7.dll => No File
CHR Plugin: (Java Deployment Toolkit 7.0.510.13) - C:\Program Files\Java\jre7\bin\dtplugin\npDeployJava1.dll => No File
CHR Plugin: (Java(TM) Platform SE 7 U51) - C:\Program Files\Java\jre7\bin\plugin2\npjp2.dll => No File
CHR Plugin: (Silverlight Plug-In) - C:\Program Files\Microsoft Silverlight\4.0.60531.0\npctrl.dll => No File
CHR Plugin: (Google Update) - C:\Users\tinkk\AppData\Local\Google\Update\1.3.22.3\npGoogleUpdate3.dll => No File
CHR Plugin: (Google Talk Plugin Video Accelerator) - C:\Users\tinkk\AppData\Roaming\Mozilla\plugins\npgtpo3dautoplugin.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32_11_9_900_170.dll => No File
CHR Plugin: (iTunes Application Detector) - T:\Program Files\iTunes\Mozilla Plugins\npitunes.dll => No File
CHR HKLM\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
2016-02-28 12:44 - 2016-02-28 12:44 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\BrowserAir
2016-02-28 12:31 - 2016-02-28 12:31 - 00000657 _____ C:\Users\tinkk\Desktop\Continue installation .lnk
2016-02-28 12:30 - 2016-02-28 12:30 - 00000000 ____D C:\Program Files\mbot_ru_014010251
2016-02-28 12:29 - 2016-02-28 12:29 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\ASPackage
2016-02-28 12:29 - 2016-02-28 12:29 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\ASPackage
2016-02-28 12:29 - 2016-02-28 12:29 - 00000000 ____D C:\Program Files\99174960-1456651744-11DD-9510-0022158996CC
2016-02-28 12:23 - 2016-02-28 12:23 - 00001015 _____ C:\Users\Public\Desktop\Advanced PC Care.lnk
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\Users\Все пользователи\Appverifier
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\Users\Все пользователи\Advancedpccare.com
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\EasyFileOpener
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\Advancedpccare.com
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced PC Care
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\ProgramData\Appverifier
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\ProgramData\Advancedpccare.com
2016-02-28 12:23 - 2016-02-28 12:23 - 00000000 ____D C:\Program Files\Advanced PC Care
2016-02-28 12:22 - 2016-02-28 12:22 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WajaNetEn
2016-02-28 12:22 - 2016-02-28 12:22 - 00000000 ____D C:\Program Files\WajaNetEn
2016-02-28 12:21 - 2016-02-28 12:21 - 00000000 ____D C:\Program Files\RayDld
2016-02-28 12:19 - 2016-02-28 12:21 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\mysites123
2016-02-24 22:19 - 2016-02-24 22:23 - 00000000 ____D C:\Program Files\Common Files\Baidu
2016-02-24 22:18 - 2016-02-26 22:44 - 00000000 ____D C:\Users\Все пользователи\Baidu
2016-02-24 22:18 - 2016-02-26 22:44 - 00000000 ____D C:\ProgramData\Baidu
2016-02-24 22:18 - 2016-02-24 22:23 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\Baidu
2016-02-24 22:14 - 2016-02-24 22:14 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ГАНјдЇАА
2016-02-24 22:08 - 2016-02-28 12:42 - 00000192 _____ C:\Users\tinkk\Desktop\Искать в Интернете.url
2016-02-24 20:55 - 2016-02-28 12:10 - 00000444 _____ C:\Windows\Tasks\567377707A_1036.job
2016-02-24 20:55 - 2016-02-28 12:10 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\567377707A_1036
2016-02-22 21:43 - 2016-03-04 22:53 - 00000000 ____D C:\Users\tinkk\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Амиго
2016-02-22 19:38 - 2016-02-22 19:38 - 00000000 ____D C:\Program Files\Common Files\kkoqs4zj
2016-02-22 18:38 - 2016-02-22 18:38 - 00000000 ____D C:\Program Files\Common Files\hyxnu02n
2016-02-22 17:38 - 2016-02-22 17:38 - 00000000 ____D C:\Program Files\Common Files\qet31sv5
CustomCLSID: HKU\S-1-5-21-1929852468-2729547370-3823728573-1000_Classes\CLSID\{17EF1FFB-0545-4C9A-BE64-78FF53338475}\localserver32 -> no filepath
Task: {46857642-70F7-41CB-929B-655899A85010} - no filepath
Task: {56E435DF-05E1-4D48-BAD8-4CB8E6D51CC7} - \567377707A_1036 -> No File <==== ATTENTION
Task: {639440FC-DEE8-49E9-A910-5B6858168E29} - no filepath
Task: {9907EFC4-5046-41BA-BC3D-80E2B62A94CF} - System32\Tasks\RSPro => C:\Users\tinkk\AppData\Local\SearchModule\dblaunch.exe [2016-02-24] () <==== ATTENTION
Task: {DF39B46C-70E7-4520-8F48-B2EDA03CD228} - \Microsoft\Windows\SystemRestore\FreeVPN -> No File <==== ATTENTION
Task: {E011F5CC-9722-4882-BB53-C3AF08302343} - System32\Tasks\1 => C:\Windows\System32\shutdown.exe [2009-07-14] (Microsoft Corporation) <==== ATTENTION
Task: C:\Windows\Tasks\567377707A_1036.job => C:\Users\tinkk\AppData\Roaming\567377707A_1036\8BwwQMBDhy.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении!
[list][*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
06.03.2016, 23:12
Сергей Пономаренко

Вложений: 1

Логи в приложении. Проблема все еще имеет место быть.
07.03.2016, 11:56
thyrex

Сделайте [URL="http://virusinfo.info/showthread.php?t=146192"]лог AdwCleaner[/URL]
10.03.2016, 20:27
Сергей Пономаренко

Вложений: 1

Лог в приложении.
14.03.2016, 18:52
thyrex

Отметьте и удалите все найденное
14.03.2016, 22:29
Сергей Пономаренко

Вложений: 1

Очистку выполнил. Лог во вложении.
14.03.2016, 23:39
thyrex

Что теперь с проблемой?
16.03.2016, 10:03
Сергей Пономаренко

Пока тихо. Странно, я пробовал чистить этой программой до обращения сюда, но после перезагрузки все появлялось вновь, а сейчас нормально. Спасибо большое!
16.03.2016, 10:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\tinkk\appdata\roaming\freevpn\freevpn.exe - [B]not-a-virus:AdWare.Win32.Amonetize.cinf[/B][*] c:\users\tinkk\appdata\roaming\567377707a_1036\8bwwqmbdhy.exe - [B]not-a-virus:AdWare.Win32.Lola.ia[/B][/LIST][/LIST]